Check Point ajoute un WAF à sa plateforme gouvernementale certifiée FedRAMP

Check Point Software a annoncé le 12 novembre 2026 que Check Point Web Application and API Security avait rejoint la Check Point Platform for Government, certifiée FedRAMP. Cette intégration rend la protection des applications web et des API accessible dans le cadre de l’offre fédérale déjà certifiée de l’entreprise, plutôt que de créer une nouvelle plateforme autonome certifiée.

La fiche du FedRAMP Marketplace répertorie le WAF aux côtés d’Email & Collaboration, de ThreatCloud AI et du portail de gestion. La plateforme a obtenu sa première certification FedRAMP le 24 septembre 2025. Elle est en cours de certification et bénéficie d’une autorisation au titre du profil Rev5 Agency Class C (Moderate). Elle est répertoriée comme logiciel en tant que service dans un cloud communautaire gouvernemental. Pour les responsables de missions fédérales, le changement concret est qu’ils peuvent désormais trouver, évaluer et acheter le WAF dans le cadre de cette offre déjà établie.

Ce qu’apporte l’offre certifiée

Check Point indique que le WAF protège les applications et les API accessibles depuis Internet contre les vulnérabilités connues, les exploits zero-day et les abus d’API. L’offre associe la découverte automatisée des API, la validation des schémas et l’application de l’authentification à la lutte contre les bots, à la protection contre les attaques par déni de service distribué et à une diffusion intégrée au CDN. Ses contrôles des applications d’IA générative visent l’injection de prompts, les fuites de données et les contenus préjudiciables. La gestion centralisée est par ailleurs conçue pour réduire le nombre d’outils de sécurité des applications utilisés par les organismes publics.

Contexte des violations de données dans le secteur public

L’extrait consacré au secteur public du Rapport 2026 sur les enquêtes relatives aux violations de données de Verizon permet de mieux comprendre cette extension. Son jeu de données sur l’administration publique couvre la période d’octobre 2024 à novembre 2025 et recense 3 634 incidents, dont 2 410 ayant entraîné une divulgation de données confirmée. L’exploitation de vulnérabilités était le vecteur d’accès initial dans 40 % des violations, contre 20 % pour l’hameçonnage et 8 % pour l’utilisation abusive d’identifiants. Des données personnelles figuraient dans 50 % de ces violations, des données internes dans 39 % et des secrets dans 30 %.

Verizon précise que le jeu de données gouvernementales compte moins de contributeurs que ceux du secteur privé et est donc plus susceptible d’être biaisé. La répartition des vecteurs d’accès illustre néanmoins l’exposition des systèmes accessibles au public, en particulier lorsque les applications anciennes ou tierces ne peuvent pas toujours être corrigées immédiatement.

PHP2Shell et les limites de la protection des passerelles

Une note de Check Point Research du 21 octobre 2026 fournit un exemple récent de protection. Elle décrit deux vulnérabilités critiques de PHP, toutes deux notées 9,2 selon CVSS v4.0, et indique que les premiers tests d’exploitation de preuves de concept ont montré que le moteur WAF bloquait de manière préventive une tentative d’exécution d’un shell à distance.

La même note indique que les contrôles des passerelles réduisent les risques, mais ne dispensent pas de mettre PHP à jour, car les failles se trouvent dans l’interpréteur et le trafic chiffré qui n’est pas inspecté échappe aux signatures réseau. Cette réserve est importante pour l’annonce fédérale : le WAF peut ajouter une couche de prévention, mais il ne supprime pas la nécessité de corriger les logiciels sous-jacents.

Cette extension permet aux organismes publics de regrouper les protections de leurs applications au sein d’un service déjà certifié, mais PHP2Shell met en évidence le défi opérationnel qui subsiste. Les contrôles préventifs peuvent réduire l’exposition avant la fin des corrections, tandis que l’application des correctifs et l’inspection du trafic chiffré restent nécessaires pour traiter le risque sous-jacent.